Når flere kunder kører på samme virtualiseringsplatform, deler et hostet skrivebordsmiljø eller får deres data kopieret til samme backupsystem, er der én forudsætning, som alle regner med: kunde A kan ikke se kunde B. En test af adskillelsen afprøver, om den forudsætning holder i praksis, og hvad en bruger eller en administrator hos én kunde kan nå hos de andre. Svaret afhænger af, hvordan platformen er delt op, og af de fælles komponenter, der forbinder kunderne bag kulissen.
Adskillelsen er MSP’ens ansvar. Ingen af kunderne kan selv afprøve den, fordi ingen af dem må teste de andres miljøer. Det er derfor jer, der skal bestille testen og stå for svaret.
Hvor kunderne mødes
Det første skridt er at finde de steder, hvor kunderne deler noget. Nogle er åbenlyse, andre ligger i driften:
- Virtualisering · kundernes servere på samme værter og samme administration.
- Hostede skrivebordsmiljøer · flere kunders brugere på fælles servere eller i et fælles katalog.
- Backup · kopier fra mange kunder i samme system, måske med én administration.
- Netværk · fælles firewall, fælles forbindelser og adresseområder, der skal holdes adskilt.
- Filoverførsel og mail · fælles tjenester, der sender og modtager for flere kunder.
- Driftens systemer · overvågning, dokumentation og ticketsystem med oplysninger om alle.
En oversigt over disse fællesskaber er udgangspunktet for testen. Den viser også, hvor adskillelsen beror på opsætning og ikke på fysisk eller logisk afskærmning.
Oversigten kan også afsløre fællesskaber, som ingen har valgt. En fælles servicekonto, der blev oprettet for at få backup til at virke hos alle kunder, eller et adresseområde, der blev genbrugt ved en flytning, er eksempler på adskillelse, der er blevet tyndere uden en beslutning. → Virtualiseringsplatformen som testområde
Hvad testen afprøver
Testen stiller det samme spørgsmål fra flere udgangspunkter: kan en adgang hos én kunde bruges til at nå en anden? Den kan for eksempel afprøve, om en almindelig bruger i det hostede skrivebordsmiljø kan se andre kunders brugere, mapper eller printere. Om en kundes server på virtualiseringsplatformen kan nå andre kunders servere på nettet. Om en kundeadministrator i backupsystemet kun ser egne kopier. Og om de konti, driften bruger, går på tværs af kunderne på en måde, der gør grænsen tynd.
Det sidste punkt kan være det vigtigste, fordi den tekniske adskillelse kan være i orden, mens administrationen binder det hele sammen. → Fælles administrationskonti hos MSP’en
Testkunder i stedet for rigtige kunder
En test af adskillelsen må ikke røre rigtige kunders data. Løsningen er at oprette en eller flere testkunder på de delte platforme, med samme opsætning som en almindelig kunde. Testeren arbejder fra testkunden og forsøger at nå en anden testkunde. Hvis testen viser, at grænsen kunne krydses, dokumenteres det, uden at rigtige kunders systemer berøres.
Det kræver, at testkunderne virkelig er sat op som de rigtige. En testkunde med en særlig opsætning giver et resultat, der ikke siger noget om resten. Beskriv i opgaven, hvordan testkunderne er oprettet, og hvilke skabeloner de følger.
Når testen er slut, skal testkunderne enten fjernes helt eller lukkes ned og holdes under opsyn. En glemt testkunde med aktive brugere og kendte adgangskoder er en ny indgang til den platform, testen skulle beskytte. Skriv fjernelsen ind i oprydningslisten. → Oprydning efter testen
Det, I skal have klar
- Oversigt over delte platforme · hvilke kunder der deler hvad, og hvordan adskillelsen er tænkt.
- Testkunder · oprettet efter jeres almindelige skabeloner, med testbrugere og testdata.
- Grænser for testen · hvilke dele der er fælles infrastruktur, og hvad testen ikke må påvirke.
- Driftsvindue · hvornår testen kan foregå uden at forstyrre kunderne, hvis den rører fælles komponenter.
- Leverandørernes vilkår · hvis platformen står hos en hostingleverandør eller i en cloudtjeneste, skal deres regler følges.
Når grænsen ikke holdt
Et fund om adskillelse vejer tungt, fordi det rammer flere kunder på én gang, og fordi kunderne har regnet med det modsatte. Prioritér efter, hvor mange kunder fundet berører, og hvad der kunne nås: oplysninger om brugere, filer, kopier i backup eller adgang til andre kunders servere.
Rettelserne beskrives som principper: adskil kundernes net, så de ikke kan nå hinanden; giv hver kunde sit eget katalog eller sin egen afgrænsede del af det; begræns kundeadministratorers rettigheder i fælles systemer til egne data; og del administrationen, så en driftskonto ikke rækker til alle kunder, hvor det ikke er nødvendigt. Den fælles anbefaling til MSP’er fra NCSC (UK), CISA og andre myndigheder peger på at holde kundernes data og tjenester adskilt fra hinanden og fra MSP’ens interne net. → Segmentering i dybden
Nogle rettelser kan laves i skabelonen og rulles ud. Andre kræver, at kunder flyttes, eller at en fælles komponent deles op, hvilket kan blive et projekt i sig selv med servicevinduer hos flere kunder på samme tid. Lav en plan, og fortæl de berørte kunder, hvad der er fundet, og hvad I gør. → Fund hos kunden
Kunderne spørger
Kunder på en delt platform kan spørge, hvordan de er adskilt fra andre. En test af adskillelsen giver et konkret svar: hvad der blev afprøvet, fra hvilke udgangspunkter, og hvad resultatet var. Aftal på forhånd med testeren, hvilken form for opsummering der kan deles, så kunderne ikke får hele rapporten med oplysninger om platformen. Platformen ændrer sig, når der kommer nye kunder og nye skabeloner, så svaret skal have en dato. → Test af MSP’ens egen sikkerhed
Det skal I lade være med
- At teste med rigtige kunders data · brug testkunder.
- At lade testkunden få en særlig opsætning · så siger resultatet intet om de andre.
- At glemme administrationen · teknisk adskillelse hjælper ikke, hvis driftskontiene går på tværs.
- At overse backup og overvågning · de rummer oplysninger om alle kunder.
- At love kunderne fuld adskillelse uden test · løftet skal kunne dokumenteres.
- At rette hos én kunde ad gangen · ret i skabelonen, så alle får rettelsen.
Hvad kan og ikke kan konkluderes
Testen viser, om testkunderne kunne nå hinanden fra de udgangspunkter, testeren havde, og ad de veje, der indgik. Resultatet gælder for kunder, der er sat op efter samme skabeloner. Kunder med særlige opsætninger, ældre installationer eller undtagelser er ikke dækket af resultatet, før de er kontrolleret. Testen siger heller ikke noget om hostingleverandørens platform, hvis den lå uden for opgaven.
Tjekliste til adskillelsen
- ☐ Er alle delte platforme og fælles komponenter listet?
- ☐ Er der oprettet testkunder efter de almindelige skabeloner?
- ☐ Er det beskrevet, hvad testen ikke må påvirke?
- ☐ Er hostingleverandørens vilkår afklaret?
- ☐ Er driftens konti med i vurderingen?
- ☐ Er der en plan for at rette i skabelonen?
- ☐ Ved I, hvilke kunder der afviger fra skabelonen?
Kilder
- NCSC (UK), CISA, NSA, FBI m.fl.: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A): anbefaling om at holde kundernes data og tjenester adskilt fra hinanden og fra MSP’ens interne net.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Backupsystemet som mål · Fjernstyringsværktøjer som testområde
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
